JP2016038627A - 監視システム、観測装置、解析装置、監視方法およびコンピュータプログラム - Google Patents

Abstract

【課題】未知の悪性サイトへのアクセスを検出可能とすると共に該検出にかかる負担を軽減すること。
【解決手段】観測装置１−１，１−２は、ユーザによるWebページへのアクセスに関する情報を収集するデータ観測部１２と、ユーザがダウンロードしたコンテンツを走査し、遷移先のURLを示すURL情報を収集するコンテンツ走査部１４と、該収集された情報を解析装置２へ送信する送受信部１１と、を備え、解析装置２は、該送信された情報を受信する送受信部２１と、該受信された情報に基づいて特定のページ遷移方法の検出を行い、該特定のページ遷移方法の検出結果に基づいてWebページへのアクセスの悪性を判断する解析部２２と、を備える。
【選択図】図１

Description

本発明は、ウェブ（Web）ページへのアクセスについての監視システム、観測装置、解析装置、監視方法およびコンピュータプログラムに関する。

従来、Webページの改ざんや悪性Webページによる攻撃の一例として、ドライブバイダウンロード（Drive-by Download）攻撃と呼ばれるものが知られている。Drive-by Download攻撃とは、ユーザがWebブラウザを使用して悪性Webページにアクセスした際に、WebブラウザやWebブラウザのプラグインソフトウェアの脆弱性を悪用してマルウェアをダウンロードさせる攻撃である。一般的なDrive-by Download攻撃では、攻撃者は正規のWebページを改ざんして、マルウェアを配布するサイト又はマルウェア自身へリンクさせるためのスクリプトコードを挿入することにより、当該Webページへアクセスしたユーザを自動的にExploitサイトへ転送させる。ユーザは、その転送先のExploitサイトでWebブラウザやプラグインソフトウェアなどの脆弱性をつく攻撃を受けることにより、マルウェア配布サイトへ転送させられる。この結果、ユーザは、その転送先のマルウェア配布サイトからマルウェアを自動的にダウンロードして実行することになる。

Webページの改ざんや悪性Webページを監視する従来技術として、例えば、特許文献１、非特許文献１，２などが知られている。特許文献１に記載される従来技術では、Webサイト上のコンテンツに対して、あらかじめ保持しておいたコンテンツの特徴量や複製を用いて、コンテンツの特徴量の差異、コンテンツの差分を検出することにより、コンテンツの改ざんを検知している。非特許文献１に記載される従来技術では、WebブラウザがアクセスするURL（Uniform Resource Locator）を監視し、アクセスされたURLが既知の悪性WebページのURLと一致した場合に、当該アクセスを遮断している。非特許文献２に記載される従来技術では、マルウェア配布サイトの情報とWebページ間のリンク構造を示すグラフに基づいて、マルウェア配布サイトへのlandingサイトを検出し、検出されたlandingサイトに基づいて未知のマルウェア配布サイトを検出している。

特開２００４−０２１８７３号公報

"Google Safe Browsing", インターネット＜ＵＲＬ：https://developers.google.com/safe-browsing/＞ J. W. Stokes et al, "WebCop: Locating Neighborhoods of Malware on the Web", Proc. 3rd USENIX Workshop on Large-scale Exploits and Emergent Threats (LEET2010), 2010

しかし、上述した従来技術では以下に示す課題がある。
特許文献１に記載される従来技術では、Webページが正規に変更された場合と不正に改ざんされた場合とを区別することが難しい。また、コンテンツの特徴量によってはコンテンツの変化を検出できないようにコンテンツが改ざんされると、その検出が難しい。
非特許文献１に記載される従来技術では、既知の悪性Webページには有効であるが、未知の悪性Webページには効果がない。
非特許文献２に記載される従来技術では、既知のマルウェア配布サイトのURLが豊富にないと、未知のマルウェア配布サイトを検出する効果が十分に得られない。

本発明は、このような事情を考慮してなされたもので、未知の悪性サイトへのアクセスを検出可能とすると共に該検出にかかる負担を軽減できる、監視システム、観測装置、解析装置、監視方法およびコンピュータプログラムを提供することを課題とする。

（１）本発明の一態様は、観測装置と、前記観測装置と通信回線で接続される解析装置とを有する監視システムであり、前記観測装置は、ユーザによるWebページへのアクセスに関する情報を収集するデータ観測部と、前記ユーザがダウンロードしたコンテンツを走査し、遷移先のURLを示すURL情報を収集するコンテンツ走査部と、前記データ観測部で収集された情報および前記コンテンツ走査部で収集された情報を前記解析装置へ送信する送信部と、を備え、前記解析装置は、前記観測装置から送信された情報を受信する受信部と、前記受信部で受信された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスの悪性を判断する解析部と、を備える、監視システムである。
（２）本発明の一態様は、上記（１）の監視システムにおいて、前記特定のページ遷移方法は、ドライブバイダウンロード（Drive-by Download）攻撃における特徴的なページ遷移方法である、監視システムである。
（３）本発明の一態様は、上記（２）の監視システムにおいて、前記特定のページ遷移方法は、参照元サイトの情報がHTTPヘッダ上に付かない、且つ、先頭ページからの一連のページ遷移において取得されたコンテンツから転送元を推測できない方法である監視システムである。

（４）本発明の一態様は、特定のページ遷移方法の検出結果に基づいてWebページへのアクセスの悪性を判断する際に使用される、ページ遷移方法についての情報、を取得する観測装置であり、ユーザによるWebページへのアクセスに関する情報を収集するデータ観測部と、前記ユーザがダウンロードしたコンテンツを走査し、遷移先のURLを示すURL情報を収集するコンテンツ走査部と、を備えた観測装置である。

（５）本発明の一態様は、ユーザによるWebページへのアクセスに関する情報を収集するデータ観測部と、前記ユーザがダウンロードしたコンテンツを走査し、遷移先のURLを示すURL情報を収集するコンテンツ走査部と、前記データ観測部で収集された情報および前記コンテンツ走査部で収集された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスの悪性を判断する解析部と、を備えた観測装置である。

（６）本発明の一態様は、ユーザによるWebページへのアクセスに関する情報および前記ユーザがダウンロードしたコンテンツから収集された遷移先のURLを示すURL情報を観測装置から受信する受信部と、前記受信部で受信された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスの悪性を判断する解析部と、を備えた解析装置である。

（７）本発明の一態様は、データ観測部が、ユーザによるWebページへのアクセスに関する情報を収集し、コンテンツ走査部が、前記ユーザがダウンロードしたコンテンツを走査し、遷移先のURLを示すURL情報を収集し、解析部が、前記データ観測部で収集された情報および前記コンテンツ走査部で収集された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスの悪性を判断する、監視方法である。

（８）本発明の一態様は、特定のページ遷移方法の検出結果に基づいてWebページへのアクセスの悪性を判断する際に使用される、ページ遷移方法についての情報、を取得する処理を行うためのコンピュータプログラムであって、ユーザによるWebページへのアクセスに関する情報を収集するデータ観測機能と、前記ユーザがダウンロードしたコンテンツを走査し、遷移先のURLを示すURL情報を収集するコンテンツ走査機能と、をコンピュータに実現させるためのコンピュータプログラムである。

（９）本発明の一態様は、コンピュータに、ユーザによるWebページへのアクセスに関する情報および前記ユーザがダウンロードしたコンテンツから収集された遷移先のURLを示すURL情報を観測装置から受信する受信機能と、前記受信機能により受信された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスの悪性を判断する解析機能と、を実現させるためのコンピュータプログラムである。

本発明によれば、未知の悪性サイトへのアクセスを検出可能とすると共に該検出にかかる負担を軽減できるという効果が得られる。

本発明の一実施形態に係る監視システムの構成を示すブロック図である。 本発明の一実施形態に係る解析方法を説明するための概念図である。 本発明の一実施形態に係る監視方法の手順を示すシーケンスチャートである。 本発明の一実施形態に係る監視方法の手順を示すシーケンスチャートである。 本発明の他の実施形態に係る観測装置３の構成を示すブロック図である。

以下、図面を参照し、本発明の実施形態について説明する。
図１は、本発明の一実施形態に係る監視システムの構成を示すブロック図である。図１において、観測装置１−１，１−２（以下、特に区別しないときは「観測装置１」と称する）と解析装置２とは通信回線で接続されている。観測装置１は、送受信部１１とデータ観測部１２と制御部１３とコンテンツ走査部１４を備える。解析装置２は、送受信部２１と解析部２２と通知情報生成部２３を備える。

観測装置１において、送受信部１１は、通信回線を介して解析装置２とメッセージを交換する。データ観測部１２は、ユーザによるWebページへのアクセス（Webアクセス）に関する情報を収集する。Webアクセスに関する情報として、例えば、アクセス先のURL、ダウンロードしたコンテンツなどが挙げられる。制御部１３は、解析装置２から受信した通知情報に基づいて、ユーザのWebアクセスを遮断する等の制御を行う。コンテンツ走査部１４は、ユーザがダウンロードしたコンテンツを走査し、遷移先のURLを示すURL情報を収集し、収集したURL情報を蓄積する。走査の対象となるコンテンツとして、例えば、HTML（HyperText Markup Language）文書、スクリプト言語（簡易プログラミング言語）ファイルなどが挙げられる。

観測装置１−１は、ユーザが使用するWebブラウザ１０１にインストールされたプラグインソフトウェア（プラグイン）として実装されている。観測装置１−１のデータ観測部１２は、Webブラウザ１０１がインターネット１００上のWebサイトとの間でやり取りするHTTP（Hypertext Transfer Protocol）メッセージを取得することによって、ユーザのWebアクセスに関する情報やダウンロードされたコンテンツを取得する。また、観測装置１−１のデータ観測部１２は、制御部１３からの制御情報に従って、Webブラウザ１０１によるWebアクセスの遮断等を行う。

観測装置１−２は、インターネット１００と接続しているHTTPプロキシサーバ（HTTPプロキシ）１０３に接続されているWebプロキシサーバ（Webプロキシ）に付随して設けられている。観測装置１−２として、例えば、ユーザ端末１０２とWebプロキシサーバとの間の通信を仲介するミドルウェアとして実装されることが挙げられる。観測装置１−２のデータ観測部１２は、ユーザ端末１０２がWebプロキシサーバを介してインターネット１００上のWebサイトとの間でやり取りするHTTPメッセージを取得することによって、ユーザのWebアクセスに関する情報やダウンロードされたコンテンツを取得する。また、観測装置１−２のデータ観測部１２は、制御部１３からの制御情報に従って、ユーザ端末１０２とWebプロキシサーバとの間でWebアクセスの遮断等を行う。

観測装置１において、データ観測部１２によって取得されたWebアクセスに関する収集情報は、送受信部１１により解析装置２へ送信される。また、データ観測部１２によって取得されたコンテンツは、コンテンツ走査部１４へ送られる。コンテンツ走査部１４によってコンテンツから収集されたURL情報の収集情報は、送受信部１１により解析装置２へ送信される。

解析装置２において、送受信部２１は、通信回線を介して観測装置１とメッセージを交換する。解析部２２は、観測装置１から受信した収集情報を解析する。この解析結果は通知情報生成部２３へ送られる。通知情報生成部２３は、解析部２２による解析結果に基づいて、観測装置１へ送信される通知情報を生成する。解析装置２として、例えば、通信ネットワーク上に配置された中央集積型のサーバ装置を利用することが挙げられる。

図２は、本実施形態に係る解析方法を説明するための概念図である。図２には、Drive-by Download攻撃における特徴的なページ遷移方法が例示されている。図２において、マルウェア配布サイトへのlandingサイトには、改ざんされたページが存在し、クライアントが該改ざんされたページへアクセスすると、自動的にExploitサイトへ転送される。クライアントは、その転送先のExploitサイトでWebブラウザやプラグインソフトウェアなどの脆弱性をつく攻撃を受けることにより、マルウェア配布サイトへ転送させられる。

図２に示されるように、landingサイトの改ざんされたページにある転送用スクリプトは、一般に難読化されており、その改ざんされたページのコンテンツからは転送先を推測できない。つまり、該転送用スクリプトには、Exploitサイトやマルウェア配布サイトへのページ遷移を示す記載がない。そして、Exploitサイトからマルウェア配布サイトへのページ遷移では、一般に脆弱性をつく攻撃によって自動的に転送させられるため、Refererヘッダなどの参照元サイトの情報がHTTPヘッダ上に付かない。本実施形態では、この特徴を利用して悪性サイトへのアクセスを判断する。

次に、図３および図４を参照して、図１に示す監視システムの動作を説明する。図３および図４は、本実施形態に係る監視方法の手順を示すシーケンスチャートである。ここでは、観測装置１として観測装置１−１を例に挙げて説明する。なお、観測装置１−２についても同様の監視方法の手順である。

（図３：ステップＳ１）観測装置１−１はWebブラウザ１０１からのHTTPリクエスト（ｑ_ｉ）を捕捉する。

（図３：ステップＳ２）観測装置１−１は、その捕捉したHTTPリクエスト（ｑ_ｉ）をリクエスト先のWebサイトへ転送し、該WebサイトからのHTTPレスポンスを受信する。

（図３：ステップＳ３）観測装置１−１は、その受信したHTTPレスポンスが先頭ページであるか否かを調べる。例えば、当該HTTPリクエスト（ｑ_ｉ）が、Webブラウザ１０１のブックマークから選択されることによって発生した場合や、Webブラウザ１０１のロケーションバーに直接URLが入力されたことで発生した場合に、先頭ページであると判断する。又は、当該HTTPリクエスト（ｑ_ｉ）の送信時のマウスイベント（ユーザ操作としてのクリック、アンカーへのポインタ移動など）が有った場合に、先頭ページであると判断する。この判断の結果、先頭ページである場合には、観測装置１−１は、参照情報２０１を初期化する。一方、先頭ページでない場合には、ステップＳ４へ進む。なお、先頭ページとは、Webサイトにアクセスした際に発生する一連のページ遷移において、はじめにアクセスされたWebページのことを指す。

（図３：ステップＳ４）観測装置１−１は、HTTPレスポンス内のコンテンツを走査し、当該コンテンツ内に記載されているURL（ｕ_ｉ１，ｕ_ｉ２）を当該コンテンツのURL（ｑ_ｉ）に関連付けて参照情報２０１へ保存する。

（図３：ステップＳ５）観測装置１−１は、収集情報を解析装置２へ送信する。この収集情報として以下がある。
・HTTPリクエストURL（ｑ_ｉ）
・HTTPリクエストとHTTPレスポンスのHTTPヘッダ情報、特にはRefererヘッダに示されているURL（ｒ_ｉ）およびLocationヘッダに示されているURL（ｌ_ｉ）
・当該リクエスト先のURL（ｑ_ｉ）が以前に受信したコンテンツ内に記載されていたURL（ｕ_ｋｉ）と合致する場合「ｕ_ｋｉ＝ｑ_ｉ」に、その参照元コンテンツのURL（ｑ_ｋ）
・HTTPリクエスト送信時のマウスイベント（ユーザ操作としてのクリック、アンカーへのポインタ移動など）の有無（ｍ_ｉ：１が有り、０が無し）
・当該リクエスト先（ｑ_ｉ）のWebページが先頭ページか否かを示すフラグ（ｎ_ｉ：１が先頭ページである、０が先頭ページではない）
なお、フラグ（ｎ_ｉ）として、例えば、当該リクエストが、Webブラウザ１０１のブックマークから選択されることによって発生した場合や、Webブラウザ１０１のロケーションバーに直接URLが入力されたことで発生した場合に、当該リクエスト先（ｑ_ｉ）のWebページが先頭ページであることを示す値「１」を設定する。

（図４：ステップＳ６）解析装置２は、観測装置１−１から収集情報を受信すると、該受信した収集情報（以下、受信収集情報と称する）に基づいてリクエスト先（ｑ_ｉ）のWebページが先頭ページか否かを判断する。具体的には、フラグ（ｎ_ｉ）とマウスイベントの有無（ｍ_ｉ）に基づいて判断する。フラグ（ｎ_ｉ）が１である場合には先頭ページであると判断する。フラグ（ｎ_ｉ）が０である場合において、マウスイベントの有無（ｍ_ｉ）が１（有り）である場合には先頭ページであると判断する。それ以外の場合には先頭ページではないと判断する。この判断の結果、先頭ページである場合にはステップＳ７へ進み、先頭ページではない場合にはステップＳ８へ進む。

（図４：ステップＳ７）解析装置２は、ページ遷移に関するページ遷移情報（Ｌ，Ｑ）を初期化する。そして、解析装置２は、観測装置１−１へ通知するステータスを「０（良性）」とする。

（図４：ステップＳ８）解析装置２は、受信収集情報に含まれるHTTPヘッダ情報が実行形式のファイルを示しているか否かを判断する。この判断として、例えばContent-Typeヘッダにおいてapplication/x-msdownload、application/octet-stream、application/java-archiveなどを示す場合に、実行形式のファイルを示していると判断することが挙げられる。この判断の結果、実行形式のファイルを示していない場合には、解析装置２は、観測装置１−１へ通知するステータスを「０（良性）」とする。一方、実行形式のファイルを示している場合には、ステップＳ９へ進む。

（図４：ステップＳ９）解析装置２は、実行形式のファイルを示していると判断された該当ファイルが、以前にアクセスされたページから遷移されたものか否かを判断する。この判断では、以下の３つの条件１，２，３を調べる。
（条件１）当該ファイルのURL（ｑ_ｉ）が以前Locationヘッダに記載されていた（ｑ_ｉ∈Ｌ）。
（条件２）受信収集情報内にRefererヘッダが存在し、該Refererヘッダに示されているURL（ｒ_ｉ）が以前アクセスされたURLと合致する（ｒ_ｉ∈Ｑ）。
（条件３）受信収集情報内に参照元コンテンツのURL（ｑ_ｋ）が存在し、該参照元コンテンツのURL（ｑ_ｋ）が以前アクセスされたURLと合致する（ｑ_ｋ∈Ｑ）。
上記した条件１，２，３のうち、少なくともいずれか一つの条件が成立する場合には、実行形式のファイルを示していると判断された該当ファイルが、以前にアクセスされたページから遷移されたものであると判断する。この場合、解析装置２は、観測装置１−１へ通知するステータスを「０（良性）」とする。一方、上記した条件１，２，３の全てが不成立である場合には、解析装置２は、観測装置１−１へ通知するステータスを「１（悪性）」とする。この場合には、先頭ページからの一連のページ遷移において取得されたコンテンツおよび当該コンテンツの取得のために送受信されたHTTPヘッダから転送元を推測できないことになる。

（図４：ステップＳ１０）解析装置２は、判定結果であるステータス「０（良性）又は１（悪性）」を通知情報として観測装置１−１へ送信する。

（図４：ステップＳ１１）解析装置２は、受信収集情報に基づいてページ遷移情報（Ｌ，Ｑ）を蓄積する。この蓄積では、リクエスト先のURL（ｑ_ｉ）を情報Ｑに追加する。さらに、HTTPヘッダ情報にLocationヘッダが存在する場合には、該Locationヘッダに示されているURL（ｌ_ｉ）を情報Ｌに追加する。

（図４：ステップＳ１２）観測装置１−１は、解析装置２から受信した通知情報ステータスに応じて、Webブラウザ１０１によるWebアクセスに対する処置を行う。観測装置１−１は、ステータスが「０（良性）」である場合には、HTTPリクエスト（ｑ_ｉ）に対するHTTPレスポンスをWebブラウザ１０１へ転送する。一方、観測装置１−１は、ステータスが「１（悪性）」である場合には、HTTPリクエスト（ｑ_ｉ）に対するHTTPレスポンスをWebブラウザ１０１へ転送しない。このHTTPレスポンスの転送を止めることによって、Webブラウザ１０１による該当するWebアクセスが遮断されるので、マルウェア配布サイトからのマルウェアのダウンロードが未然に防がれる。

なお、上述したステップＳ８では、実行形式のファイルを検出したが、実行形式以外の特定のファイル形式のファイルを検出してもよい。例えば、静止画や動画などの画像ファイル形式のファイルを検出してもよい。これにより、実行形式以外の特定のファイル形式のファイルを対象にして、マルウェア配布サイトへのページ遷移の検知を行うことができる。また、実行形式のファイルと、特定のファイル形式（例えば、画像ファイル形式）のファイルとの両方を検出してもよい。また、画像ファイル形式のファイルを検出する場合においては検出の条件としてコンテンツのサイズの下限値を設定してもよい。これにより、トラッキング目的のWebBugを誤検知することを防ぐことができる。

上述したように本実施形態によれば、ユーザによるWebページへのアクセスにおけるページ遷移方法についての情報を取得し、該取得した情報に基づいて特定のページ遷移方法の検出を行い、特定のページ遷移方法の検出結果に基づいて当該Webページへのアクセスの悪性を判断する。上述の実施形態では、Drive-by Download攻撃における特徴的なページ遷移方法の検出有りで、当該Webページへのアクセスを悪性と判断する。このため、既知の悪性サイトへのページ遷移における特徴的なページ遷移方法を特定できれば、既知の悪性サイトのURLが豊富に得られなくても、未知の悪性サイトへのアクセスを検出できる。これにより、未知の悪性サイトへのアクセスを検出可能とすると共に該検出にかかる負担を軽減できるという効果が得られる。

また、特定のページ遷移方法の検出結果に基づいてWebページへのアクセスの悪性を判断するので、改ざんされていたWebページの改ざんが解消されたことによって該特定のページ遷移方法が検出されなくなった場合には、該改ざんされていたWebページへのアクセスが問題なしと判断できる。これにより、改ざんされていたWebページの改ざんが解消されたことに対しても直ぐに適応できるので、改ざんが解消されたのに悪性サイトであると誤検知することを防止できる。

以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

例えば、上述した図１の監視システムでは、観測装置１と解析装置２を別個の装置として構成したが、観測装置１と解析装置２を同じ装置として構成してもよい。図５は、本発明の他の実施形態に係る観測装置３の構成を示すブロック図である。図５において、図１の各部に対応する部分には同一の符号を付している。図５の観測装置３は、図１の観測装置１が有するデータ観測部１２、制御部１３およびコンテンツ走査部１４に加えて、図１の解析装置２が有する解析部２２をさらに備える。そして、観測装置３では、データ観測部１２およびコンテンツ走査部１４から解析部２２へ直接に取集情報が送られ、また、解析部２２から制御部１３へ直接に解析結果が送られる。図５に例示される観測装置３では、図１において、Webプロキシサーバに付随して設けられている観測装置１−２に対して、解析部２２を追加した構成となっている。この観測装置３の運用方法として、観測されるHTTPメッセージに対して随時、解析および判定を行うことが挙げられる。

なお、上述の実施形態では、Drive-by Download攻撃を対象にしたが、これ以外の攻撃における特徴的なページ遷移方法に基づいて、Webページへのアクセスの悪性を判断してもよい。

また、上述した観測装置１、解析装置２の機能を実現するためのコンピュータプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するようにしてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disk）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

１−１，１−２，３…観測装置、２…解析装置、１１，２１…送受信部、１２…データ観測部、１３…制御部、１４…コンテンツ走査部、２２…解析部、２３…通知情報生成部、１００…インターネット、１０１…Webブラウザ、１０２…ユーザ端末、１０３…HTTPプロキシサーバ

Claims (9)

1. 観測装置と、前記観測装置と通信回線で接続される解析装置とを有する監視システムであり、
   前記観測装置は、
   ユーザによるWebページへのアクセスに関する情報を収集するデータ観測部と、
   前記ユーザがダウンロードしたコンテンツを走査し、遷移先のURLを示すURL情報を収集するコンテンツ走査部と、
   前記データ観測部で収集された情報および前記コンテンツ走査部で収集された情報を前記解析装置へ送信する送信部と、を備え、
   前記解析装置は、
   前記観測装置から送信された情報を受信する受信部と、
   前記受信部で受信された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスの悪性を判断する解析部と、を備える、
   監視システム。
2. 前記特定のページ遷移方法は、ドライブバイダウンロード（Drive-by Download）攻撃における特徴的なページ遷移方法である、
   請求項１に記載の監視システム。
3. 前記特定のページ遷移方法は、参照元サイトの情報がHTTPヘッダ上に付かない、且つ、先頭ページからの一連のページ遷移において取得されたコンテンツから転送元を推測できない方法である請求項２に記載の監視システム。
4. 特定のページ遷移方法の検出結果に基づいてWebページへのアクセスの悪性を判断する際に使用される、ページ遷移方法についての情報、を取得する観測装置であり、
   ユーザによるWebページへのアクセスに関する情報を収集するデータ観測部と、
   前記ユーザがダウンロードしたコンテンツを走査し、遷移先のURLを示すURL情報を収集するコンテンツ走査部と、
   を備えた観測装置。
5. ユーザによるWebページへのアクセスに関する情報を収集するデータ観測部と、
   前記ユーザがダウンロードしたコンテンツを走査し、遷移先のURLを示すURL情報を収集するコンテンツ走査部と、
   前記データ観測部で収集された情報および前記コンテンツ走査部で収集された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスの悪性を判断する解析部と、
   を備えた観測装置。
6. ユーザによるWebページへのアクセスに関する情報および前記ユーザがダウンロードしたコンテンツから収集された遷移先のURLを示すURL情報を観測装置から受信する受信部と、
   前記受信部で受信された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスの悪性を判断する解析部と、
   を備えた解析装置。
7. データ観測部が、ユーザによるWebページへのアクセスに関する情報を収集し、
   コンテンツ走査部が、前記ユーザがダウンロードしたコンテンツを走査し、遷移先のURLを示すURL情報を収集し、
   解析部が、前記データ観測部で収集された情報および前記コンテンツ走査部で収集された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスの悪性を判断する、
   監視方法。
8. 特定のページ遷移方法の検出結果に基づいてWebページへのアクセスの悪性を判断する際に使用される、ページ遷移方法についての情報、を取得する処理を行うためのコンピュータプログラムであって、
   ユーザによるWebページへのアクセスに関する情報を収集するデータ観測機能と、
   前記ユーザがダウンロードしたコンテンツを走査し、遷移先のURLを示すURL情報を収集するコンテンツ走査機能と、
   をコンピュータに実現させるためのコンピュータプログラム。
9. コンピュータに、
   ユーザによるWebページへのアクセスに関する情報および前記ユーザがダウンロードしたコンテンツから収集された遷移先のURLを示すURL情報を観測装置から受信する受信機能と、
   前記受信機能により受信された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスの悪性を判断する解析機能と、
   を実現させるためのコンピュータプログラム。

Images